PS-00639-2013

1/20 Procedimiento Nº PS/00639/2013 RESOLUCIÓN: R/00710/2014 En el procedimiento sancionador PS/00639/2013, instruido por la Agencia Española de Protección de Datos a la entidad USP HOSPITALES DE CANARIAS SL Unipersonal, vista la denuncia presentada por Dª. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 29 de enero de 2013, tiene entrada en esta Agencia un escrito de D. B.B.B., en representación de Dña. A.A.A., en el que denuncia que;  Su representada necesitó los servicios de urgencia del Hospital USP Costa Adeje, en el mes de noviembre de 2012.  En el servicio de admisión, le informan de que debe firmar una cláusula de protección de datos, donde al parecer, se contemplaba la posibilidad de ceder sus datos a terceros, motivo por el cual la denunciante se niega a firmar, sin poner una anotación donde exprese su negativa.  La persona que le atiende, le informa de que si no firma esa cláusula no puede ser atendida, negándole la posibilidad de inclusión de la anotación de oposición, no obstante fue atendida por una doctora del centro.  La denunciante presentó denuncia por estos mismos hechos, ante el Juzgado de Instrucción nº 3, en el mes de diciembre de 2012. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 24 de abril de 2013, se recibe en esta Agencia escrito del Hospital Quirón Costa Adeje, con el que adjunta la siguiente documentación: 1.1. Cláusula de Protección de datos que se facilita a los pacientes para su asistencia en el Servicio de Urgencias, en la que consta, entre otros, que el paciente consiente a las cesiones de datos tanto a facultativos para su asistencia como a aseguradoras y terceros en caso de responsabilidad civil, así como transferencias internacionales en el caso de Compañías con sede en otros países, y a dar información a familiares y personas vinculadas. No obstante en el último apartado, se da la posibilidad de oponerse a dichas cesiones e informaciones, así como a no recibir información comercial, comunicándolo en recepción o enviando la solicitud al Departamento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 atención al paciente. Se adjunta impreso de oposición al tratamiento o cesión de datos en caso de que el paciente solicite el dicho ejercicio. 1.2. Con fecha 21 de noviembre de 2012, la paciente presentó reclamación en el Hospital, remitiendo respuesta desde el Hospital mediante escrito de fecha 26 de noviembre de 2012, en el que le informan, entre otros de lo siguiente: 1.2.1.La obligación legal del Hospital de guardar todos los datos contenidos en la Historia clínica derivada de su asistencia, proporcionando toda la información relativa al art. 5 de la LOPD. 1.2.2.En el caso de asistencia a Urgencias, dicha información se encuentra en el documento de admisión para su asistencia, en el caso de querer oponerse a recuerdo de sus citas, información comercial sobre sus servicios, informar a familiares y amigos, etc. Puede solicitar el impreso habilitado para solicitar dicha oposición. 1.2.3.A la vista de su escrito le informan que sus datos no serán tratados con fines comerciales, conservándose únicamente con fines asistenciales en los casos que obliga la Ley a su conservación o tratamiento. 1.3. Con fecha 5 de agosto de 2013, se recibe en esta Agencia un nuevo escrito del Hospital Quirón Costa Adeje, en el que hace, entre otras, las siguientes manifestaciones con relación a los hechos denunciados: 1.3.1.La paciente acude al Servicio de urgencias del Hospital con fecha 21 de noviembre de 2012, se sigue el protocolo establecido, en cual incluye la firma de la cláusula de protección de datos, sin la cual no se puede atender al paciente. En este caso la denunciante se negó a firmarla. 1.3.2.La persona encargada del servicio de Admisión se puso en contacto con sus superiores, los cuales le manifestaron la obligatoriedad de la firma de dicha cláusula, y la posibilidad de utilizar la Hoja de Oposición al tratamiento de datos habilitada para estos casos. 1.3.3. Cuando la persona de admisión se dirigió a informar a la paciente, ésta ya había pasado a la consulta del facultativo y estaba siendo atendida, donde fue informada de las instrucciones recibidas. No obstante la paciente abandonó el Centro Hospitalario sin firmar el documento y sin atenerse a razones. 1.3.4.Existe incoado un Procedimiento penal por estos mismos hechos. TERCERO: Con fecha 19 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a USP HOSPITALES DE CANARIAS SL Unipersonal, por presunta infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con lo previsto en el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en lo sucesivo RDLOPD), tipificada como leve en el artículo 44.2.

1. c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 900 a 40.000 euros de acuerdo con el artículo 45.1 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 CUARTO: Notificado el acuerdo de inicio la denunciante presenta escrito de personación en el procedimiento y solicita que se le tenga como parte interesada en el mismo. QUINTO: Notificado el acuerdo de inicio, USP HOSPITALES DE CANARIAS SL Unipersonal mediante escrito de fecha formuló alegaciones, significando, que: “…En conclusión, a la vista de las alegaciones expuestas en este escrito, entendemos que en este caso se ha cumplido con la normativa de protección de datos y en concreto con la posibilidad de manifestar expresamente la negativa al tratamiento o cesión de sus datos con fines no asistenciales. En este sentido, como se ha aclarado en el cuerpo de este escrito, la Sra. XXX disponía de un “procedimiento equivalente” para manifestar su negativa rellenando el documento específico de oposición a tratamiento y cesión de datos, posibilidad que no utilizó la reclamante. En este caso por tanto no concurren los elementos descritos en el artículo 15 del Real Decreto 1.720/2007 de 21 de diciembre, lo que determina que no se habría incurrido en la infracción del citado precepto y en consecuencia, entendemos (y así solicitamos a esta Agencia), que procedería acordar el archivo y sobreseimiento del presente procedimiento sancionador. Subsidiariamente, para el improbable supuesto de que esta Agencia no acuerde el sobreseimiento y archivo del procedimiento, entendemos que sería de aplicación el supuesto regulado en el apartado 6 de artículo 45 de la LOPD, (de acuerdo con el criterio fijado por la propia Agencia en la Resolución nº R /01407/2013 en caso similar) y en consecuencia dictar resolución apercibiendo al Hospital para que acredite la adopción de medidas correctoras, sin imponer ningún tipo de sanción por estos hechos.” Concluyen las alegaciones solicitando que se declare la inexistencia de conducta infractora susceptible de sanción o subsidiariamente se aplique el apartado 6 del artículo 45 de la LOPD. SEXTO: Con fecha 18 de diciembre de 2013 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante USP HOSPITALES DE CANARIAS SL Unipersonal, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01444/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00639/2013 presentadas por USP HOSPITALES DE CANARIAS SL Unipersonal, y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 26 de febrero de 2014 tiene entrada en el Registro de esta Agencia un escrito de la entidad denunciada en respuesta al acuerdo de apertura del periodo de práctica de prueba. En el escrito se expone que consta suficientemente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 acreditado que no se ha cometido infracción alguna contra la normativa de protección de datos por parte del Centro Sanitario por lo que solicitan el sobreseimiento y archivo del procedimiento sancionador. Que teniendo en cuenta la posible identidad en los hechos, sujetos y fundamentos entre este procedimiento sancionador y el procedimiento penal promovido por la denunciante ante el Juzgado de Instrucción nº 3 de Arona, esa parte entiende que subsidiariamente correspondería decretar la suspensión de este procedimiento sancionador hasta que concluya el procedimiento judicial. Solicita también tomar vista del expediente. OCTAVO: Con fecha 4 de marzo de 2014 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 15.000 € a la entidad USP HOSPITALES DE CANARIAS SL Unipersonal, por la comisión de una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
2. c)de dicha Ley. NOVENO: Notificada la propuesta de resolución, la entidad USP HOSPITALES DE CANARIAS SL Unipersonal presentó alegaciones frente a la misma en las que comunica: “
3. a)Que del tenor literal de la hoja de protección de datos que recibió la (denunciante), se constata que existían dos procedimientos para hacer efectivo el derecho a rechazar el tratamiento de datos para finalidades no relacionadas con la prestación.
4. b)Que la (denunciante) presentó escrito de reclamación oficial el mismo día de la incidencia, escrito que fue oportunamente contestado por el Hospital en el que se le confirmaba que sus datos “no serán tratados ni utilizados con finalidades”, por lo tanto se atendió su petición y se cumplió con la exigencia contenida en el artículo 15 RLOPD.
5. c)Como consecuencia de ello, los datos personales de la paciente nunca fueron tratados cara finalidades accesorias a la prestación sanitaria (por supuesto en ningún caso para finalidades publicitarias ni cedidos siquiera los datos indispensables a la Compañía aseguradora de la paciente para poder facturar, lo que provocó que el Hospital nunca cobrase la asistencia.
6. d)Que el Hospital contaba con una hoja específica de negativa al tratamiento de datos para fines accesorios (como establece el artículo 15 RLOPD), teniendo también implantado un procedimiento interno para recoger dichas negativas en el programa informático AHM, y por tanto adaptados los sistemas para gestionar dichas solicitudes.
7. e)Que se le ofreció a la (denunciante) la posibilidad de hacer uso de la citada hoja de negativa a tratamientos accesorios, pero se rechazó por la (denunciante) sin atender a razones.
8. f)Que del análisis detallado del expediente no existe prueba suficiente de que mi representada haya infringido el artículo 15 del RLOPD, y en particular no existen indicios que siquiera puedan presumir que a la (denunciante) no se le permitiera manifestar expresamente la negativa al tratamiento de sus datos para finalidades ajenas a la relación contractual. La única actuación que consta en el expediente en ese sentido es la sola declaración de la denunciante en su escrito, declaración que como hemos visto no es suficiente para desvirtuar el principio de presunción de inocencia y que además se contradice con los documentos que le fueron presentados en su día y que obran en el expediente así como con las declaraciones aportadas por esta parte.
9. g)Que la presunta infracción que se señala en la resolución notificada podría estar prescrita al haber transcurrido más de un año desde el día en que se produjo la incidencia.
10. h)Que en el caso de que se sancionara a mi representada por incumplimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 artículo 5 de la LOPD en relación con el 15 Reglamento LOPD, entendemos que se vulneraría el principio de legalidad, y por ende el principio de tipicidad y de reserva de ley en materia sancionadora, (teniendo en cuenta que el derecho de información recogido en el artículo 5 de la LOPD se cumplió plenamente con la hoja de protección de datos que se le facilitó).
11. i)Que siguiendo el criterio esta Agencia en resolución dictada en caso análogo al presente en la que acordó no sancionar acordando el apercibimiento, entendemos que en el peor de los casos debe dictarse resolución conforme a este criterio.” Concluyen las alegaciones solicitando se dicte resolución por la que se declare la inexistencia de conducta infractora por parte de Hospital Quirón Costa Adeje (USP HOSPITAL DE CANARIAS, S.L. Unipersonal) susceptible de sanción en relación con los hechos motivadores de la iniciación de este Expediente y se le exonere de toda responsabilidad, decretando el sobreseimiento y archivo respecto de la misma. DÉCIMO: Notificada la propuesta de resolución, la denunciante presentó alegaciones frente a la misma en las que comunica: “Que esta parte considera adecuada y conforme a derecho la propuesta de resolución de la Señora Instructora del Procedimiento. Efectivamente, las alegaciones que la parte denunciada alega en su defensa no son ciertas. Tal y como consta en la documental aportada por esta parte, la empleada (…) reconoció ante las preguntas del magistrado instructor que en ningún caso existía posibilidad alguna en el documento ofrecido de negar la opción de ceder datos a terceros. Tampoco, en ningún caso, dijo que se ofreciera otro documento aparte para formular alegaciones. Simplemente se le impuso firmar el documento carente de los requisitos legales mínimos…” Concluye su escrito solicitando se resuelva el procedimiento según lo interesado. HECHOS PROBADOS PRIMERO: El Hospital Quirón Costa Adeje facilita a los pacientes, para su asistencia en el Servicio de Urgencias, el documento de admisión denominado “Cláusula Urgencias” con el siguiente contenido: “En virtud de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, se le comunica que los datos personales que nos facilite, incluida su firma, quedarán recogidos en los ficheros de USP Hospital Costa Adeje con domicilio social en Edf. Garajonay, Urb San Eugenio S/N 38660 Costa Adeja, con el fin de poderle prestar asistencia sanitaria, recordarle sus citas, revisiones, informarle sobre nuestros centros, servicios, tarjeta de fidelización USP y realizar encuestas de satisfacción, a través de cualquier medio, incluido el electrónico. Usted autoriza expresa e inequívocamente la cesión de sus datos a cuantos facultativos profesionales, bien individualmente bien perteneciendo a una sociedad médica, deban conocerlos para prestar la atención médica-asistencial, así como a las aseguradoras (Incluso lea da terceros en caso de seguros de responsabilidad civil, o entidades privadas o públicas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 bajo cuya cobertura se presta la asistencia para la facturación de loa servicios prestados y la atención de posibles reclamaciones. En el caso de revocar el presente consentimiento u oposición a la cesión, le corresponderá hacerse cargo del pago de los servicios recibidos. En el caso de Compañías Aseguradoras con sede en países que no proporcionen un nivel de protección de datos equiparable al que presta la legislación vigente, Ud. consiente la transferencia internacional de sus datos con las finalidades expresadas anteriormente, Asimismo, si la asistencia sanitaria requiere la utilización de material sanitario especifico, la implantación de prótesis o la colocación de implantes, sus datos serán cedidos a la empresa proveedora para su facturación y/o con objeto de dar cumplimiento a lo dispuesto en la normativa sobre productos sanitarios. En caso de oposición, habrá de ponerlo en conocimiento del Centro antes de recibir la asistencia sanitaria, siendo de su cargo el pago de los servicios prestados. Sus datos serán comunicados al Grupo Hospitalario USP (USP HOSPITALES, S.L. Unipersonal) y a los centros sanitarios que lo Integran con el fin de gestionar su historia clínica única y beneficiarse de la posibilidad de acceso a sus datos desde otro Centro del Grupo donde pueda ser tratado, así como para realizar encuestas de satisfacción, recordarle sus citas y revisiones y mantenerle informado sobre la prestación de nuevos servicios o la apertura de nuevos centros. Usted autoriza expresamente a que el Centro pueda informar a familiares, amigos y terceros que quieran contactar telefónicamente y/o presencialmente con el paciente, y soliciten Información relativa a su estancia, tanto en relación al número de habitación donde se encuentra, como sobre su estancia en el mismo. También autoriza la emisión de justificantes de su asistencia al Centro a favor de los familiares o personas vinculadas a Ud. que lo soliciten. Usted se responsabiliza de hacer frente a cuentos gastos y honorarios se le presenten por razón de los servicios prestados y de la estancia en el Centro, autorizando expresamente a familiares o terceros a hacer efectivo el pago de estos servicios, así como a la entrega a éstos de la correspondiente factura. Asimismo se le Informa que en el supuesto que la Entidad Aseguradora, Compañía o Servicio Público de Salud de la que sea usted beneficiario no cubra, por cualquier razón, un servicio contratado, usted deberá abonarlo directamente al Centro. Dado el carácter privado del Centro, éste le facturará directamente o a quien en su sustitución se obligue al pago, autorizando expresamente al Centro en el caso de no hacer frente directamente al pago, a pasar un cargo a su cuenta o tarjeta bancaria con el importa adeudado en los términos pactados. Para el supuesto que su Entidad Aseguradora, Compañía o Servicio Público de Salud no cubra o autorice los servicios prestados en el acto de la firma de este documento, debe hacer entrega da la cantidad que se le solicite en concepto da depósito a cuenta del importe total de esta prestación no cubierta, debiendo aportar los datos de su tarjeta de crédito cuando se le solicite. Ei Centro solicitará Incremento del depósito si durante su estancia en el Centro, la estimación de su factura supera la cantidad depositada. El Centro puede presentar facturas parciales. Usted tiene el derecho a acceder, cancelar, rectificar y oponerse al tratamiento de sus datos dirigiéndose por escrito USP Hospital Costa Adeje Edf. Garajonay Urb. San Eugenio S/N 38660 Costa Adeje, a la atención de Dña. M.M.M., Gerente. Si no desea recibir información comercial de este Centro ni del resto da los que integran el Grupo USP, o no desea que se informe a familiares o terceros de su estancia en el Centro, puede comunicarlo en la Recepción o en el Departamento de Atención al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 Paciente del Centro mediante impreso a su disposición, o dirigirse por escrito a la dirección anteriormente Indicada.” El contenido de este documento se ofrece en español e inglés. (folio 19) SEGUNDO: La entidad denunciada ha manifestado que en caso de que el paciente manifieste su oposición a suscribir algún tratamiento o cesión de datos de los previstos en el documento anterior, se dispone de un documento denominado “OPOSICIÓN AL TRATAMIENTO O CESIÓN DE DATOS”, con el siguiente contenido: “Según los derechos que le asisten en virtud de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal, el abajo firmante manifiesta su deseo de oponerse a: (Marque con una cruz los tratamientos o cesiones a los que desea oponerse)  la comunicación de sus datos a su aseguradora. Como consecuencia de la oposición a la cesión de sus datos le corresponderá hacerse cargo del pago del coste de los servicios recibidos. o la comunicación de sus datos a su hospital de referencia de la Seguridad Social. Como consecuencia de la oposición a la cesión de sus datos le corresponderá hacerse cargo del pago del coste de los servicios recibidos.  la comunicación de sus datos a la empresa proveedora de prótesis y/o implantes. Como consecuencia de la oposición a la cesión de sus datos le corresponderá hacerse cargo del pago del coste de los productos implantados.  la recepción de presupuestos o informes médicos por correo electrónico. Como consecuencia de esta oposición deberá asistir al centro para la recogida de presupuestos o informes médicos.  la emisión de justificantes a favor de sus acompañantes. Como consecuencia de esta oposición los justificantes de su asistencia al Centro no se entregarán a familiares o terceros que le acompañen.  que se comparta la información con otros centros de USP. Para facilitar la gestión de una Historia Clínica única en los centros de USP.  la recepción de información comercial o publicitaria de USP. Esta oposición al tratamiento de sus datos con fines publicitarios no impedirá el tratamiento de los mismos con fines sanitarios.  la recepción de SMS con información sobre sus citas. Esta oposición al tratamiento de sus datos con fines publicitarios no impedirá el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 tratamiento de los mismos con fines sanitarios.  su estancia, tanto en relación al número de habitación donde se encuentra, como sobre la realidad de su estancia en el Centro. Esta oposición al tratamiento de sus datos con fines publicitarios no impedirá el tratamiento de los mismos con fines sanitarios. (folio 20) TERCERO: La denunciante presentó un escrito de denuncia en esta Agencia manifestando que en noviembre de 2012 acudió al servicio de urgencias del hospital donde le indicaron que debía firmar un texto de protección de datos con el que no estaba de acuerdo porque en el texto se cedían los datos libremente a la clínica para cederlos a todas las personas y entidades que quisieran. Que expuso la posibilidad de firmarlo manifestando por escrito en el mismo “no autorizo cesión alguna de datos personales” posibilidad que se le negó. Expone la denunciante en su escrito que la persona que le atendió le indicó que no podrían atenderla si no suscribía el documento y que no se le permitía hacer manifestación alguna en el mismo. No refiere la denunciante que se le ofreciera ningún otro documento de oposición al tratamiento y cesión de datos. (folios 1 a 11) La entidad denunciada ha expuesto que ambos documentos están disponibles en el Centro Hospitalario y que a la denunciante se le informó de “la necesidad de firmar la hoja de protección de datos para poder ser atendida y, en su caso, si quería oponerse a algún tratamiento o cesión de datos, utilizara la Hoja de Oposición al tratamiento de datos habilitada para estos casos”. (folio 34) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
12. g)en relación con el artículo 36 de la LOPD. II La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El tratamiento de datos viene definido en el artículo 3.
13. c)de la LOPD como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 Asimismo, el artículo 5.
14. t)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, describe el tratamiento de datos como “Cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” En el presente caso, la entidad USP HOSPITALES DE CANARIAS SL Unipersonal es responsable del tratamiento de los datos personales de sus clientes, y está sujeta a los requisitos y obligaciones impuestas por la normativa de protección de datos, y por consiguiente está sujeta al régimen de responsabilidad recogido en el Título VII de la LOPD. III Se imputa a la entidad USP HOSPITALES DE CANARIAS SL Unipersonal la posible vulneración del derecho de información de los interesados que acuden al servicio de urgencias de dicho centro hospitalario El deber de información, también denominado principio de transparencia en el tratamiento de datos, constituye uno de los pilares esenciales del sistema establecido en la Ley Orgánica 15/1999. De este modo, para que sea posible el tratamiento de los datos de carácter personal, con independencia de que sea preciso el consentimiento del afectado o de que los datos procedan de aquél o de terceras fuentes en virtud de una cesión lícita, será preciso que el afectado sea adecuadamente informado, en los términos establecidos por el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal. La información al afectado debe producirse en el momento de la recogida de sus datos de carácter personal, y abarcar los extremos esenciales relacionados con el tratamiento. Dicho deber de información al afectado está regulado en el art. 5 de la LOPD que dispone lo siguiente: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
15. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
16. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
17. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
18. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
19. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” La infracción del artículo 5 está tipificada como leve en el artículo 44.2.
20. c)de la LOPD, que considera como tal: ”El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.”. La exigencia de esta información en la recogida de los datos, constituye un derecho del afectado que es objeto de protección por sí mismo aunque es también un complemento previo de la prestación del consentimiento. De esto se deduce que dada la necesidad de que el interesado sea previamente informado, su omisión puede determinar un vicio de consentimiento. La LOPD reconoce, junto al deber de información, el momento en que se ha de informar al interesado y el contenido de dicha información. La recogida de datos se puede definir como la comunicación de los datos por el interesado al responsable del fichero o la obtención de dichos datos por otros medios distintos del propio afectado. Los procedimientos en la recogida de datos pueden ser diversos; declaraciones o formularios, encuestas o entrevistas, transmisión electrónica, páginas web… Por otro lado en el artículo 5.2 de la LOPD se establece que “Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior” Este apartado hace una referencia expresa a los supuestos en que para la recogida de datos se utilicen impresos o cuestionarios estandarizados, remarcándose la necesidad de que el interesado sea informado realmente de dichos extremos, al disponer que en dichos impresos debe figurar en forma legible las advertencias a las que se refiere el apartado 5.1 La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A este respecto conviene insistir en la necesidad de que la información sea legible porque cuando se incluyen leyendas informativas con una letra de tamaño mínimo se frustra la finalidad del derecho a la información en la recogida de los datos al no poder llegar a un verdadero conocimiento de sus destinatarios con lo que se conculca el deber de información previa. De manera que los extremos a que hace referencia el precepto han de exponerse de forma adecuada y los impresos ó formularios han de incluir leyendas legibles con lo que se facilita que la información llegue a los afectados. Así, de acuerdo con lo establecido en el artículo 5 trascrito, la entidad USP HOSPITALES DE CANARIAS SL Unipersonal debe informar a sus clientes, con carácter previo a la solicitud de sus datos personales, y la información deberá ser expresa, precisa e inequívoca. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo, a diferencia de la hoy derogada Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, que sólo se refería a finalidades “legítimas”, que las mismas sean “determinadas, explícitas y legítimas”. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. IV Por su parte, el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RLOPD), desarrolla el citado artículo 5 de la LOPD en cuanto a la información que se ha de facilitar a los afectados cuando se solicita el consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, disponiendo que se deberá permitir a los afectados que manifiesten expresamente su negativa al mencionado tratamiento o comunicación de datos ajeno a dicha relación contractual. Así, el artículo 15 del RLOPD dispone lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” De lo expuesto cabe concluir que la vigente normativa de protección de datos ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. En este supuesto, de las actuaciones practicadas se desprende que si bien las personas usuarias del servicio de urgencias del centro hospitalario denunciado son informadas por medio del documento “cláusula urgencias”, entre otras muchas cosas, de la política de protección de datos, en dicho documento se informa de tratamientos o comunicaciones de datos para finalidades que no guardan relación directa con el mantenimiento, desarrollo o control de la relación contractual sin que se permita al afectado que manifieste expresamente su negativa a ellos. Esta circunstancia supone una vulneración del cumplimiento de las exigencias recogidas en el citado artículo 5.1 de la LOPD en relación con lo previsto en el artículo 15 del RLOPD. El responsable del tratamiento de los datos personales de los clientes que solicitan la asistencia en el servicio de urgencias del hospital, informa del tratamiento de los mismos con finalidades que no guardan relación directa con la asistencia que se proporciona en el servicio de urgencias por lo que es preciso dar cumplimiento a lo previsto en el artículo 15 del RLOPD y permitir a los afectados, manifestar expresamente su negativa a esos tratamientos y comunicaciones de datos. En el escrito de alegaciones al acuerdo de inicio la entidad USP HOSPITALES DE CANARIAS SL Unipersonal manifestó que “en este caso se ha cumplido con la normativa de protección de datos y en concreto con la posibilidad de manifestar expresamente la negativa al tratamiento o cesión de sus datos con fines no asistenciales. En este sentido, como se ha aclarado en el cuerpo de este escrito, la Sra. XXX disponía de un “procedimiento equivalente” para manifestar su negativa rellenando el documento específico de oposición a tratamiento y cesión de datos, posibilidad que no utilizó la reclamante”. A este respecto, se recuerda que los mecanismos de rechazo deben estar incluidos en el propio documento a fin de posibilitar que el afectado pueda ser informado y manifestar, en el momento de facilitar sus datos, su negativa al uso de los mismos para fines no relacionados directamente con el proceso de formación del contrato en cuestión. El procedimiento equivalente citado por la entidad denunciada no permite al afectado manifestar su negativa en el momento en que se recaban los datos para el servicio de admisión de urgencias hospitalarias que se analiza, sino que lo posibilitan una vez ya prestado el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 En el citado documento “CLÁUSULA URGENCIAS” se informa de que “Sus datos serán comunicados al Grupo Hospitalario USP (USP HOSPITALES, S.L. Unipersonal) y a los centros sanitarios que lo Integran con el fin de gestionar su historia clínica única y beneficiarse de la posibilidad de acceso a sus datos desde otro Centro del Grupo donde pueda ser tratado, así como para realizar encuestas de satisfacción, recordarle sus citas y revisiones y mantenerle informado sobre la prestación de nuevos servicios o la apertura de nuevos centros.” Para proporcionar un servicio de asistencia en las urgencias hospitalarias del centro denunciado, no resulta necesario un tratamiento o cesión de los datos de los afectados para mantenerles informados de la prestación de nuevos servicios o la apertura de nuevos centros del grupo hospitalario. En este sentido se dictó por la Audiencia Nacional la reciente Sentencia de 30/01/2013 ( Rec. núm 400/2011) que en su Fundamento de Derecho Sexto señala que: “no basta con informar en el catálogo de la posibilidad de recibir publicidad, sino que hay que informar y dar la posibilidad de que el afectado pueda mostrar su negativa al tratamiento de sus datos con dicha finalidad, como así lo exige el artículo 15 del RDLOP en relación con el deber de información en la recogida de datos regulado en el citado artículo 5.1LOPD . Y en el caso de autos no se ha informado y dado la posibilidad al afectado de mostrar su negativa al tratamiento de sus datos personales con esos fines que no guardan relación directa con la relación contractual, ni en el momento de realizar el pedido telefónicamente, ni tampoco cuando se recibe el pedido en el domicilio en el talón de venta que tiene que ser firmado por el destinatario de la mercancía, como así hizo el denunciante. Así, en el citado talón figura al dorso, bajo el rótulo "Condiciones Generales" que el titular autoriza a XXXX para que los datos contenidos en este documento puedan ser facilitados con fines comerciales y estudios de mercado con fines propios, única y exclusivamente a las empresas del Grupo XXXX, y se informa de la posibilidad de ejercitar los acceso, rectificación, cancelación y oposición. Pero no se contempla en el citado talón una negativa al tratamiento de los datos para dichos fines comerciales y estudios de mercado, no relacionados directamente con el mantenimiento o desarrollo de la relación contractual, lo que resultaría sumamente fácil, pues bastaría con la inserción de una casilla en blanco para que el interesado pudiera marcarla y oponerse al tratamiento de sus datos para dichas finalidades.” Es decir, en el presente caso, para cumplir con los requisitos establecidos en los señalados preceptos de la normativa de protección de datos, no basta con informar de “que los datos personales que nos facilite, incluida su firma, quedarán recogidos en los ficheros de USP Hospital Costa Adeje con domicilio social en Edf. Garajonay, Urb San Eugenio S/N 38660 Costa Adeja, con el fin de poderle prestar asistencia sanitaria, recordarle sus citas, revisiones, informarle sobre nuestros centros, servicios, tarjeta de fidelización USP y realizar encuestas de satisfacción, a través de cualquier medio, incluido el electrónico.”, tal y como se indica en el documento de “CLAUSULA URGENCIAS”. Para que dichos datos puedan ser utilizados por la entidad denunciada con posterioridad al momento de su recogida con los fines indicados en el citado documento de privacidad se considera necesario que dicha entidad, en su condición de responsable del tratamiento, permita al afectado que manifieste expresamente la negativa al tratamiento de sus datos para finalidades ajenas a la relación contractual, pues sólo así se observa plenamente el requisito de informar sobre la finalidad del tratamiento. En este caso, la entidad USP HOSPITALES DE CANARIAS SL Unipersonal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 no permite al afectado la marcación de una casilla claramente visible en el documento para que puedan marcarla y manifestar expresamente su negativa al tratamiento de sus datos para finalidades publicitarias. La denunciante ha declarado que no se le permitió realizar manifestación alguna en el documento que dejara constancia de su oposición a autorizar las cesiones de datos personales que se contemplaban en el mismo. También ha manifestado, en su escrito de alegaciones a la propuesta de resolución, que la empleada que le atendió en su visita al servicio de urgencias del hospital, reconoció, ante las preguntas del magistrado instructor, que no existía posibilidad de negar la opción de ceder datos a terceros y tampoco se dijo en dicha declaración, que se ofreciera otro documento aparte para formular alegaciones. V Para una atención en el servicio de urgencias del hospital denunciado, se presenta a la firma de los usuarios que allí acuden una cláusula que se facilita en dos idiomas, castellano e inglés ambos en la misma cara de una hoja lo que limita mucho el tamaño de la letra si se quiere conseguir una lectura apropiada de su contenido, con una gran cantidad de información allí incluida de todo tipo de temas, económicos en su mayor parte, para asegurar el cobro de los servicios y de protección de datos, muchos de ellos innecesarios, de ambos temas, por estar exceptuados en la propia LOPD, artículos 6.2, 7.6 y 8, e informando en la tantas veces mencionada cláusula, de que los datos personales serán comunicados al Grupo hospitalario y hospitales que lo integran para, entre otras cosas, realizar encuestas de satisfacción, recordarle citas, revisiones y mantenerle informado de nuevos servicios y apertura de nuevos centros. Es decir se informa de que sus datos serán tratados con finalidades publicitarias de los servicios que ofrece el grupo hospitalario. Entre toda esa cantidad de información ofrecida en un servicio de urgencias hospitalario, no figura sin embargo, la preceptiva posibilidad de permitir al afectado manifestar su negativa al tratamiento o comunicación de datos para finalidades que no guarden relación con el contrato a suscribir. Todo ello justificado por la entidad denunciada en un supuesto procedimiento equivalente que, a su parecer, redunda en un mayor beneficio para el paciente que acude al servicio de urgencias de sus centros, por la agilidad que exige la tramitación administrativa de este servicio y el riesgo que existiría si los pacientes señalasen dicha casilla y el personal de admisión olvidara tomar nota de dicha oposición. Por esta razón se optó por el procedimiento equivalente ya expuesto, para que la admisionista tuviese conocimiento expreso de dicha oposición y asegurarse de que esa persona iba a reflejar en el sistema informático la oposición manifestada y que se iba a dar adecuado trámite al ejercicio de ese derecho (folios 78 y 79). Resulta contradictoria la manera en que se justifica el procedimiento elegido, en aras de una mayor agilidad en la tramitación administrativa del servicio de urgencias y para asegurar que la persona de admisión tenga un conocimiento expreso de la negativa del paciente al tratamiento o comunicación de sus datos con fines no relacionados con el contrato. En cualquier caso, lo que ha de ser expreso es la manifestación del afectado sin que pueda admitirse que, para que el personal no olvide una obligación que le compete, se procede a implantar un procedimiento que no cumple C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 con los requisitos exigidos en la normativa. De todas formas, y aunque no cabe en este procedimiento realizar valoración respecto de la pretendida agilidad de la tramitación administrativa, no cabe duda de que además de preceptivo, resulta mucho más rápido la inclusión de una casilla que permita manifestar expresamente al afectado su negativa al tratamiento ya mencionada en el documento que se le entregue para la celebración del contrato. VI La entidad USP HOSPITALES DE CANARIAS SL Unipersonal ha solicitado que se tenga en consideración la demanda presentada por la denunciante ante el Juzgado de Instrucción nº 3 de Arona, entendiendo que existe una identidad de causa entre dichas actuaciones y el presente procedimiento sancionador. El artículo 7 de Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, según el cual: “1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien”. En este caso concreto si bien pudiera existir una identidad de sujeto y de hecho entre la infracción administrativa y la infracción penal, no existe sin embargo identidad de fundamento toda vez que la infracción administrativa que aquí se valora es la vulneración de la normativa en materia de protección de datos en tanto que el proceso penal que se considera en el Juzgado de Instrucción nº 3 de Arona es un posible delito de coacciones y omisión del deber de socorro cuestión ésta que no figura entre las competencias de la Agencia Española de Protección de Datos. La denunciante aportó, entre la documentación de su escrito de denuncia, un auto del Juzgado de Instrucción nº 3 de Arona ordenando la incoación de diligencias previas por el posible delito de coacciones y omisión del deber de socorro en el que aparece ella como denunciante y el documento de declaración ante dicho Juzgado de Instrucción de la persona que atendió a la denunciante en el servicio de admisión de urgencias en las Diligencias Previas del procedimiento contra directivos de la clínica y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 doctora. (folios 1 a 11) En esta declaración aportada por la denunciante puede observarse que no se menciona el documento de “oposición al tratamiento o cesión de datos” al que alude la entidad denunciada. En las diligencias previas seguidas en el mencionado Juzgado de Instrucción de Arona, la imputación penal se realiza a personas físicas, mientras que en el presente procedimiento sancionador se imputa a una persona jurídica una vulneración de la normativa en materia de protección de datos. Además el fundamento jurídico en que se basa la infracción administrativa es distinto del posible delito penal que se dirime en este orden, que no compete a esta Agencia. Solicita la denunciante, en su escrito de personación en el procedimiento, la práctica de la prueba consistente en la documental aportada con su escrito de denuncia, en concreto la declaración de la empleada de la entidad denunciada en las diligencias previas 5108/12 del Juzgado de Instrucción nº 3 de Arona y solicita también la testifical consistente en la comparecencia de la persona que ordenó que no se atendiera a la denunciante ese día por haberse negado a firmar el documento sin que le permitieran poner la cláusula de no transferencia de datos. Respecto de esta segunda prueba propuesta cabe rechazarla por innecesaria toda vez que, como ya hemos visto, lo que aquí se valora es la vulneración de la normativa de protección de datos sin que sea objeto de competencia por parte de esta Agencia la atención prestada en el centro hospitalario denunciado. Se solicita por la entidad denunciada, en escrito presentado con fecha 21 de febrero de 2014, tomar vista del expediente para solicitar la práctica de otras pruebas adicionales con suspensión del plazo del periodo de prueba y que se otorgue un nuevo periodo de prueba una vez se haya tomado vista del expediente. A este respecto cabe recordar que el periodo de prueba del presente procedimiento se inició con fecha 18 de diciembre de 2013 que, según lo previsto en el artículo 17.1 del RD 1398/1993 por el que se aprueba el procedimiento para el ejercicio de la potestad sancionadora, no será superior a treinta días ni inferior a diez. La solicitud de suspensión del plazo del periodo de prueba se realiza una vez transcurrido ampliamente el mismo por lo que no cabe estimar lo solicitado. Por otra parte, el acceso al expediente es posible en cualquier momento del procedimiento según lo previsto en el artículo 3 del citado RD 1398/1993 que establece un principio de acceso permanente y que los interesados podrán formular alegaciones y aportar los documentos que estimen convenientes. Se solicita en el escrito de alegaciones al acuerdo de inicio y se insiste en las presentadas tras la propuesta de resolución, la posibilidad de la aplicación de lo establecido en el nuevo régimen sancionador de la LOPD dado que se cumplen los presupuestos del artículo 45.6 de la ley para apercibir en lugar de acordar la apertura de un procedimiento sancionador. Del análisis de la concurrencia de los criterios establecidos en dicho precepto, se concluye que, atendida la naturaleza de los hechos constatados, debe valorarse que en un caso como el presente de empresas de destacado volumen de negocio con una actividad relacionada con el tratamiento de datos personales y teniendo en cuenta el tipo de datos que se tratan por una entidad como la denunciada, datos especialmente protegidos que hacen referencia a la salud, esta Agencia entiende que no procede la aplicación de la previsión contenida en el apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 sujeto responsable. Por lo que cabe desestimar lo alegado. VII Por lo que respecta a la alegación realizada por la entidad USP HOSPITALES DE CANARIAS SL Unipersonal a la propuesta de resolución, sobre la apreciación de la prescripción de la infracción imputada, habrá que estar a lo dispuesto en el artículo 47 de la LOPD, que establece, en sus apartados 1, 2 y 3 lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. La infracción imputada a la entidad denunciada en este procedimiento sancionador es constitutiva de una infracción continuada o permanente, caracterizada porque la conducta merecedora de reproche administrativo se mantiene en el tiempo, y por tanto el cómputo del plazo de prescripción no se inicia hasta el momento en que la infracción deja de cometerse. En esta ocasión al tratarse de una infracción leve, el plazo de un año que prevé el artículo 47 de la LOPD para el cómputo de la prescripción, no se inicia desde la fecha en que la denunciante acudió al servicio de urgencias del hospital denunciado y no se le permitió manifestar expresamente su negativa al tratamiento o comunicación de sus datos para finalidades que no guardaban relación directa con la relación contractual, como pretende la entidad denunciada en sus alegaciones a la propuesta de resolución. En este caso se imputa la vulneración del deber de información en la recogida de datos prevista en el artículo 5 de la LOPD en relación con el 15 del RLOPD, y mientras subsista la infracción a dicho deber y se continúe utilizando dicha cláusula informativa en el servicio de urgencias del hospital, tal y como se mantiene y defiende en los sucesivos escritos de la entidad denunciada, cláusula en la que no se permite al afectado manifestar expresamente su negativa al tratamiento o comunicación de datos por medio de la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato, no procede iniciar el cómputo de dicho plazo de prescripción de un año. La infracción imputada no habría prescrito, pues, el 19 de noviembre de 2013, fecha en que se dictó el Acuerdo de Inicio del presente procedimiento sancionador, ni tampoco el 22 de noviembre de 2013, fecha en que se notificó a USP HOSPITALES DE CANARIAS SL Unipersonal dicho Acuerdo (folio 64). Por lo expuesto, hay que concluir que en la fecha de la notificación del Acuerdo de inicio del presente procedimiento sancionador no había transcurrido el año de prescripción señalados en el artículo transcrito para las infracciones leves. La Audiencia Nacional en sentencia de 2 de marzo de 2006, entre otras, ha tratado esta cuestión de las infracciones continuadas en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 “Añadir, para concluir que tampoco la falta imputada pueda considerarse prescrita a pesar de lo que también se aduce en la demanda. Tal recurrente parte del error de computar el “dies a quo” del plazo prescriptito del Art. 47 de la LOPD a partir del hecho determinante de la vulneración del deber de exactitud de los datos. Pero esta Sala entiende, por el contrario, que nos hallamos ante una falta o infracción continuada, dado que la lesión al bien jurídico protegido (que en definitiva consiste en la exactitud, veracidad y actualidad de los datos personales) se ha prolongado en el tiempo, durante todo el periodo en el que el denunciante permaneció indebidamente inscrito (…). Tal prescripción se computa mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor, y por tanto la invocada excepción no puede ser apreciada (…)”. En consecuencia, las referidas alegaciones deben ser desestimadas. VIII El artículo 44.2.
21. c)de la Ley Orgánica 15/1999 considera infracción leve: “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” En este caso, ha quedado acreditado que la entidad denunciada recaba datos personales de los pacientes que acuden al servicio de urgencias sin cumplir con lo exigido en el artículo 5.1 de la LOPD en relación con el artículo 15 del RLOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. En concreto la entidad USP HOSPITALES DE CANARIAS SL Unipersonal informa en su documento “CLAUSULA URGENCIAS” de unos tratamientos y cesiones de datos personales que exceden del ámbito propio de la asistencia que se solicita sin que se permita al afectado que manifieste su negativa. Dicha circunstancia supone una vulneración del art 5 de la LOPD, en relación con el art 15 el RD 1720/2007. Por consiguiente la entidad denunciada ha incurrido en la infracción leve descrita ya que el cumplimiento del deber de información, o principio de transparencia, es un principio básico del derecho a la protección de datos, recogido en el artículo 5 de la LOPD, siendo necesario que el titular de los datos sea informado en los términos establecidos en dicho artículo y en las normas de desarrollo. IX El artículo 45 de la LOPD, apartados 1 y 4, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
22. a)El carácter continuado de la infracción.
23. b)El volumen de los tratamientos efectuados.
24. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 de carácter personal.
25. d)El volumen de negocio o actividad del infractor.
26. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. f)El grado de intencionalidad.
28. g)La reincidencia por comisión de infracciones de la misma naturaleza.
29. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
30. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
31. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
32. a)la existencia de intencionalidad o reiteración,
33. b)la naturaleza de los perjuicios causados,
34. c)la reincidencia”, se concluye que de la secuencia de hechos expuesta en este procedimiento, valorada en aplicación de dichos criterios, permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 5.000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad USP HOSPITALES DE CANARIAS SL Unipersonal, por una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
35. c)de dicha norma, una multa de 5.000 € (cinco mil euros) de conformidad con lo establecido en el artículo 45 apartados 1 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a USP HOSPITALES DE CANARIAS SL Unipersonal y a Dª. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es